Geschäftsführerhaftung bei NIS2:
Was § 38 BSIG wirklich bedeutet
NIS2 macht Cybersicherheit zur Chefsache, und das im Wortsinn. § 38 BSIG nimmt die Geschäftsleitung persönlich in die Pflicht. Was das konkret heißt, wo Sie haften und wie Sie sich absichern.
Bei NIS2 geht es nicht nur um Technik, sondern um Verantwortung. Das deutsche Umsetzungsgesetz (BSIG) richtet sich in einem zentralen Punkt direkt an Sie als Geschäftsführerin oder Geschäftsführer: § 38 verlagert die Verantwortung für Cybersicherheit ausdrücklich auf die Leitungsebene. Das ist unbequem, aber beherrschbar, wenn man weiß, worum es geht.
Was § 38 BSIG von der Geschäftsleitung verlangt
Die Norm formuliert drei klare Pflichten:
- Umsetzen und überwachen (Abs. 1): Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 umsetzen und ihre Umsetzung überwachen. Das ist eine aktive Pflicht, kein Abnicken.
- Persönlich haften (Abs. 2): Verletzt die Geschäftsleitung diese Pflicht schuldhaft, haftet sie der Einrichtung für den entstandenen Schaden, nach den Regeln des für die Rechtsform geltenden Gesellschaftsrechts.
- Sich schulen (Abs. 3): Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um Cyberrisiken erkennen und bewerten zu können.
Wichtig ist die Reihenfolge im Kopf zu behalten: Die Umsetzung dürfen Sie an Ihre IT oder einen Dienstleister delegieren. Die Verantwortung bleibt bei Ihnen.
Wann Sie persönlich haften
Die Haftung nach § 38 Abs. 2 BSIG setzt eine schuldhafte Pflichtverletzung voraus, die zu einem Schaden führt. Wer die Maßnahmen nach § 30 ignoriert, ihre Umsetzung nicht überwacht oder die eigene Schulungspflicht missachtet, bewegt sich genau in diesem Bereich. Es geht also nicht um Pech, sondern um nachweisbare Sorgfalt.
Der Zusammenhang mit GmbHG § 43
§ 38 BSIG steht nicht allein. Schon § 43 GmbHG verlangt von Geschäftsführern die Sorgfalt eines ordentlichen Geschäftsmannes. Nach der Rechtsprechung trägt im Streitfall die Geschäftsführung die Beweislast dafür, dass sie sorgfältig gehandelt hat. Ohne dokumentierte Maßnahmen, ohne gelebtes Managementsystem und ohne Schulungsnachweis ist dieser Beweis in der Praxis kaum zu führen. Genau hier entscheidet sich Ihr Haftungsschutz.
So sichern Sie sich ab
Die gute Nachricht: Dieselben Schritte, die NIS2 verlangt, sind auch Ihr persönlicher Schutzschirm.
- Betroffenheit klären und den Umfang sauber bestimmen.
- Ein schlankes ISMS aufbauen, das Risiken, Rollen und Prozesse dokumentiert und gelebt wird.
- Die eigene Schulungspflicht erfüllen und das schriftlich nachweisen.
- Sorgfalt dokumentieren, damit Sie sie gegenüber Kunden, Gesellschaftern und Behörden belegen können.
Das Wichtigste in Kürze
- § 38 BSIG verpflichtet die Geschäftsleitung zu Umsetzung, Überwachung und Schulung.
- Bei schuldhafter Pflichtverletzung haftet die Leitung persönlich (§ 38 Abs. 2).
- Die Umsetzung ist delegierbar, die Verantwortung nicht.
- Dokumentierte Sorgfalt ist der wirksamste Haftungsschutz.
Häufige Fragen
Haftet die Geschäftsführung bei NIS2 persönlich?
Ja. Nach § 38 Abs. 2 BSIG haftet die Geschäftsleitung der Einrichtung für einen schuldhaft verursachten Schaden, wenn sie ihre Pflichten aus § 38 Abs. 1 verletzt.
Kann ich die NIS2-Verantwortung an die IT delegieren?
Die Umsetzung können Sie delegieren, die Verantwortung nicht. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung selbst, die Maßnahmen umzusetzen und ihre Umsetzung zu überwachen.
Schützt eine D&O-Versicherung vor der NIS2-Haftung?
Nur eingeschränkt. Viele Policen schließen Vorsatz aus und greifen nicht, wenn grundlegende Pflichten erkennbar vernachlässigt wurden. Der verlässlichere Schutz ist die nachweisbare Erfüllung der Pflichten.
Konkrete Unterstützung finden Sie auf unseren Seiten NIS2-Compliance und NIS2-Geschäftsleitungsschulung. Ob Sie überhaupt betroffen sind, klären Sie in zwei Minuten im NIS2-Betroffenheits-Check.
Dieser Beitrag dient der Orientierung und ist keine Rechtsberatung.